أمن تطبيقات الويب
حماية تطبيقات الويب والخدمات من الهجمات.
يُعرَّف أمن تطبيقات الويب بنتائج NIST CSF 2.0 الآتية: PR.PS-06 (Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). جدول المطابقة مُطابَق عبر جدول مطابقة منشور في ISO 27001, CMMC و800-53. تحريري مُطابَق تحريريًا في CIS v8.1, SOC 2 وPCI DSS. ذو صلة فضفاضة فقط في HIPAA وNIS2. لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا لـ GDPR, Essential Eight, DORA, CPS 234 وCyber Essentials.
| الإطار | المتطلب | العنوان | رابط | المصدر / السبب |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.PS-06PR.IR-01 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle; Networks and environments are protected from unauthorized logical access and usage | تعريف الموضوع | PR.PS-06 PR.IR-01 |
| ISO 27001 | A.8.26 | Application security requirements | جدول المطابقة | A.8.26: via PR.PS-06 |
| CIS v8.1 | CIS 13.10CIS 16.10CIS 9.3 | Perform Application Layer Filtering; Apply Secure Design Principles in Application Architectures; Maintain and Enforce Network-Based URL Filters | تحريري | CIS 13.10: Application-layer filtering proxies or gateways in front of web traffic (IG3), the CIS equivalent of a WAF-style control. CIS 16.10: Secure design principles in application architectures, applied to web applications. CIS 9.3: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): network-based URL filters. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | تحريري | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.4.16.4.3 | Public web applications protected against attacks; Payment page scripts authorised and integrity-checked | تحريري | 6.4.1: Public-facing web applications protected against attacks; omitted from NIST's PCI references. 6.4.3: Payment-page scripts managed and authorized; NIST links it to DE.CM-09 rather than these subcategories. |
| CMMC | SC.L2-3.13.1 | Boundary Protection | جدول المطابقة | SC.L2-3.13.1: via 800-171r3 03.13.01 ↔ PR.IR-01 → SC-7; 800-171r2 Appendix D → SC-7 |
| 800-53 | SC-7SI-10 | Boundary Protection; Information Input Validation | جدول المطابقة | SC-7: via PR.IR-01 SI-10: Input validation is the core web-application defence; not linked to these subcategories in NIST's references. |
| HIPAA | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)§164.312(a)§164.312(a)(2)(i) | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (PR.PS-06, PR.IR-01) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| GDPR | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب GDPR مُطابَق مع هذا الموضوع في بياناتنا. |
| NIS2 | 6.26.76.8 | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (PR.PS-06, PR.IR-01) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| Essential Eight | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Essential Eight مُطابَق مع هذا الموضوع في بياناتنا. |
| DORA | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب DORA مُطابَق مع هذا الموضوع في بياناتنا. |
| CPS 234 | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب CPS 234 مُطابَق مع هذا الموضوع في بياناتنا. |
| Cyber Essentials | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Cyber Essentials مُطابَق مع هذا الموضوع في بياناتنا. |
تعريف الموضوع نتائج CSF 2.0 التي تحدد هذا الموضوع · جدول المطابقة اختيار واحد على الأقل مدعوم بجدول مطابقة منشور · تحريري حكم ControlMapping، مع ذكر السبب · غير مربوط، يشترك فقط في نتائج CSF لهذا الموضوع · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. المنهجية.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
ربط خاطئ أو مفقود؟ أبلغ عنه
حول أمن تطبيقات الويب
يحمي أمن تطبيقات الويب التطبيقات والخدمات المتاحة عبر الإنترنت من ناقلات الهجوم الشائعة، ومنها البرمجة النصية عبر المواقع (XSS)، وحقن SQL، وتزوير الطلبات عبر المواقع (CSRF)، وهجمات حجب الخدمة الموزعة (DDoS). ويتطلب التنفيذ نشر جدران حماية تطبيقات الويب (WAFs)، وتطبيق سياسات أمان المحتوى (CSP)، وفرض استخدام HTTPS على جميع خصائص الويب، وإجراء اختبارات اختراق منتظمة لتطبيقات الويب. وينبغي للمؤسسات كذلك تطبيق ترويسات الأمان (Secure Headers)، وإدارة شهادات TLS بشكل استباقي، والاحتفاظ بجرد لجميع تطبيقات الويب وواجهات برمجة التطبيقات المتاحة للعموم.